개인정보 유출 ‘가능성’도 9월 11일부터 통지, 알림 받으면 확인할 것
2026년 9월 11일부터 개인정보 유출 통지 기준이 달라집니다. 지금까지는 개인정보처리자가 유출 등이 발생한 사실을 알게 됐을 때 정보주체에게 알리는 구조였다면, 개정법 시행 뒤에는 유출 등의 가능성이 있음을 알게 된 때에도 지체 없이 통지해야 합니다. 이용자 입장에서는 ‘가능성 통지’를 받았다고 해서 유출이 최종 확정됐다는 뜻으로 단정하지 않는 것이 중요합니다.
9월 11일부터 어떤 통지를 더 받을 수 있을까?
개인정보보호위원회는 사고 초기부터 이용자가 대응할 수 있도록 유출 가능성 통지제를 도입했다고 설명했습니다. 또한 분실·도난·유출뿐 아니라 개인정보의 위조·변조·훼손도 ‘유출 등 사고’ 범위에 포함됩니다.
통지에는 피해구제 방법도 더 명확하게 안내하도록 바뀝니다. 손해배상 청구나 분쟁조정 신청 같은 방법을 함께 알리도록 한 것이 핵심입니다.
‘유출 가능성’ 알림을 받으면 실제 유출이 확정된 걸까?
반드시 그렇지는 않습니다. 새 제도는 기업·기관이 유출 가능성을 인지한 단계에서도 늦지 않게 알리도록 통지 시점을 앞당긴 것입니다. 따라서 통지를 받았다면 먼저 해당 기관이 안내한 사고 범위, 영향받을 가능성이 있는 개인정보 항목, 현재 조사 상태와 이용자 조치사항을 읽어야 합니다.
비밀번호가 포함됐거나 계정탈취 위험을 안내받았다면 같은 비밀번호를 다른 서비스에 재사용하고 있는지도 점검하는 편이 좋습니다. 다만 실제 피해 범위와 필요한 조치는 사건마다 다르므로 공식 통지 내용이 우선입니다.
모든 개인정보 사고에 매출 10% 과징금이 붙을까?
아닙니다. 개인정보보호위원회 발표에 따르면 전체 매출액의 최대 10% 과징금 특례는 반복적이거나 중대한 위반행위에 적용할 수 있습니다. 최근 3년 동안 고의 또는 중대한 과실로 위반을 반복했거나, 고의·중과실로 1천만 명 이상 대규모 피해를 초래한 경우, 시정명령 불이행으로 개인정보 유출 등 사고가 발생한 경우 등이 예시입니다.
따라서 ‘9월 11일부터 유출 사고가 나면 무조건 매출 10%’라고 이해하면 부정확합니다. 실제 과징금 부과 여부와 금액은 법정 요건과 개별 사건 판단을 거칩니다.
이용자는 통지에서 무엇을 확인해야 할까?
첫째, 유출 또는 유출 가능성이 있는 개인정보가 무엇인지 확인해야 합니다. 둘째, 사업자가 안내한 비밀번호 변경·카드 또는 계정 확인 등 구체적인 보호조치가 있는지 살펴봐야 합니다. 셋째, 피해가 의심되면 통지문에 안내된 손해배상·분쟁조정 등 피해구제 방법을 확인할 수 있습니다.
새 제도는 이용자가 더 이른 시점에 정보를 받도록 하는 데 의미가 있습니다. 통지 자체를 공포의 신호로 받아들이기보다 ‘어떤 정보가 어느 단계에서 위험한지’를 확인하는 출발점으로 쓰는 것이 중요합니다.